L'UE travaille depuis de nombreuses années à la création d'un règlement relatif à un marché unique des données (personnelles et non personnelles) dans toute l'Europe. En 2020, la stratégie européenne en matière de données et la stratégie en matière de finance numérique ont été lancées, et les efforts se sont poursuivis pour établir des normes en matière de collecte, de gestion et de circulation des données.

C'est dans ce contexte qu'a été introduite la proposition de règlement du Parlement européen et du Conseil relatif à un cadre pour l'accès aux données financières dénommé Financial Data Access (FIDA), en complément du Règlement sur les données qui est entré en vigueur le 11 janvier 2024. Dans cet article, nous examinerons le cadre FIDA : sa définition, ses objectifs, le fonctionnement du partage de données et l'impact potentiel de FIDA sur le secteur des services financiers.

Sommaire de cet article

• Qu'est-ce que l'accès aux données financières (FIDA) ?
  
• Objectifs
  
• Champ d'application
  
• Partage de données
  
• Prestataires de services d'information financière
  
• Calendrier de mise en œuvre
  
• Impact potentiel sur le secteur des services financiers
  

Qu'est-ce que l'accès aux données financières (FIDA) ?

Le 28 juin 2023, la Commission européenne a proposé le règlement relatif à l'accès aux données financières (FIDA) afin d'améliorer l'accès aux données financières et le partage de celles-ci au sein de l'UE. Le cadre FIDA s'inscrit dans le cadre d'une stratégie plus large de l'UE visant à créer un système de banque ouverte, permettant le partage des données des utilisateurs entre les banques, les compagnies d'assurance, les services d'investissement et d'autres entités financières. Ce cadre s'appuie sur les règles définies en matière de banque ouverte par la directive révisée sur les services de paiement (DSP2), qui vise à rendre les services de paiement plus sûrs et plus pratiques pour les pays membres, et par la directive DSP3 qui lui a succédé.

Le FIDA s'inscrit dans le cadre de la stratégie européenne en matière de données (lancée par la Commission européenne) qui, selon la communication de la Commission du 19 février 2020, vise à « créer un espace européen unique des données, un véritable marché unique des données, ouvert aux données provenant du monde entier, où les données à caractère personnel et non personnel, y compris les données industrielles sensibles, soient en sécurité et dans lequel les entreprises aient facilement accès à une quantité quasi infinie de données industrielles de haute qualité, stimulant la croissance et créant de la valeur tout en minimisant l’empreinte carbone et environnementale humaine. »

Il importe de noter que, selon le règlement, « Le terme “accès aux données financières” désigne l’accès aux données entre entreprises et entre entreprises et clients (y compris les consommateurs), ainsi que le traitement des données, à la demande du client dans une gamme étendue de services financiers » au sein du marché financier européen.

Objectifs

Le partage des données des clients a toujours constitué une question épineuse au sein du secteur financier. Les utilisateurs de données, tels que les entreprises qui cherchent à accéder aux informations des clients, ont souvent eu des difficultés à obtenir des données auprès des établissements financiers qui collectent, stockent et traitent ces informations. L'accès aux données n'a jamais été correctement réglementé et a souvent été laissé sans surveillance. En outre, les interfaces techniques utilisées pour accéder aux données étaient vulnérables aux cybermenaces, ce qui soulève des inquiétudes quant à la sécurité des données des clients.

Cette situation restreint l'accès aux données financières et constitue un écueil important pour les nouveaux entrants et les petits prestataires de services innovants, qui ont du mal à offrir des produits personnalisés qui répondent aux besoins des clients. Par conséquent, les personnes qui recherchent des produits et services financiers peuvent finir par payer un prix plus élevé sans obtenir l'expérience escomptée.

Le cadre FIDA a pour objectif d’opérer à deux niveaux :

• Premièrement, améliorer le partage des données entre les opérateurs de services financiers, permettant ainsi le développement de produits financiers mieux adaptés aux besoins des clients.
  
• Deuxièmement, renforcer la protection de la vie privée des clients en imposant aux opérateurs des normes exigeantes de sécurité et de confidentialité, et en veillant à ce que les données ne soient utilisées qu'avec le consentement de l'utilisateur.
  

La proposition de la Commission européenne s'aligne sur le Règlement général sur la protection des données (RGPD), qui fixe des règles générales pour le traitement des données à caractère personnel et garantit à la fois la protection et la libre circulation des données à caractère personnel. En outre, les consommateurs seront protégés contre les abus et les violations de données, car les propriétaires et les utilisateurs de données devront respecter les dispositions du règlement sur la résilience opérationnelle numérique (DORA), entré en vigueur le 16 janvier 2023.

Champ d'application

La proposition exige que les données relatives aux catégories de produits suivantes soient rendues accessibles :

• crédits hypothécaires, prêts et comptes (à l'exception des comptes de paiement visés dans la directive PSD2).
  
• épargne, investissements dans des instruments financiers, produits d’investissement fondés sur l’assurance, cryptoactifs, biens immobiliers et autres actifs financiers liés, ainsi que les avantages économiques tirés de ces actifs, y compris les données collectées aux fins de la réalisation d’une évaluation de l’adéquation et du caractère approprié.
  
• droits à pension.
  
• produits d’assurance non-vie conformément à la directive 2009/138/CE, y compris les données collectées aux fins d’apprécier les exigences et les besoins du client et aux fins d’une évaluation de l’adéquation et du caractère approprié.
  
• données relevant d’une évaluation de la solvabilité d’une entreprise qui sont collectées dans le cadre d’une procédure de demande de prêt ou d’une demande de notation de crédit.
  

Partage de données

Avant d'entrer dans les détails du partage de données, voici un bref glossaire visant à bien définir les principaux acteurs impliqués dans le partage de données financières dans le cadre de la réglementation FIDA :

• Client : personne physique ou morale qui utilise des produits et services financiers
  
• Détenteur de données : un établissement financier, autre qu’un prestataire de services d’information sur les comptes, qui collecte, conserve et traite d’une autre manière les données visées à l'article 2, paragraphe 1
  
• Utilisateur de données : une entité visée à l’article 2, paragraphe 2, qui, après avoir reçu la permission d’un client, dispose d’un accès licite aux données client de ce dernier
  

Selon la proposition, le partage des données se fera par le biais de systèmes de partage des données financières (FDSS). Il s'agit d'accords-cadres établis par les détenteurs de données, les utilisateurs de données et les organisations représentatives de clients et de consommateurs afin d’autoréguler la gestion de l'accès aux données entre les membres des FDSS.
La proposition décrit également les obligations des détenteurs de données et des utilisateurs de données lorsqu'ils accèdent aux données financières des clients.

Obligations des détenteurs de données

Le détenteur de données doit mettre toutes les données demandées à la disposition du client par voie électronique dans les plus brefs délais, gratuitement, de manière continue et en temps réel.

Le détenteur de données doit également mettre les données du client à la disposition d'un utilisateur de données. À cette fin, le responsable du traitement doit :

• mettre les données du client à la disposition de l'utilisateur de manière normalisée et avec une qualité au moins identique à celle des données mises à la disposition du détenteur de données
  
• garantir une communication sécurisée avec l'utilisateur de données en maintenant un niveau de sécurité approprié lors du traitement et de la transmission des données clients
  
• s'assurer que les utilisateurs de données démontrent qu'ils ont l'autorisation du client d'accéder aux données du client détenues par le propriétaire des données
  
• fournir au client un tableau de bord de gestion des autorisations afin qu'il puisse facilement surveiller, renouveler et révoquer les autorisations des utilisateurs de données
  
• respecter la confidentialité des secrets commerciaux et des droits de propriété intellectuelle lors de l'accès aux données des clients
  

Obligations des utilisateurs de données

Un utilisateur de données qui reçoit des données client doit quant à lui :

• traiter les données des clients uniquement aux fins spécifiques liées au service que le client a explicitement demandé
  
• respecter la confidentialité des secrets commerciaux et des droits de propriété intellectuelle lors de l'accès aux données des clients
  
• mettre en œuvre les mesures nécessaires pour assurer un niveau de sécurité adéquat pour le stockage, le traitement et la transmission des données à caractère non personnel
  
• s’abstenir d’utiliser les données des clients à des fins publicitaires, à l'exception d’un marketing direct conforme aux lois européennes et nationales
  

Prestataires de services d'information financière

La FIDA introduit une nouvelle catégorie de prestataires de services d'information financière (FISP) qui peuvent accéder aux données des clients s'ils sont autorisés par l'autorité compétente d'un État membre à fournir des services d'information financière.

Les FISP indépendants qui opèrent en dehors du marché financier européen, mais qui ont besoin d'accéder à des données financières au sein de l'UE, peuvent le faire sans créer de société ou de succursale dans l'UE. Toutefois, ils doivent désigner par écrit une personne physique ou morale en qualité de représentant légal dans l'un des États membres à partir desquels le FISP a l'intention d'accéder aux données financières.

Calendrier de mise en œuvre

Le règlement FIDA entrera en vigueur 24 mois après son adoption, à l'exception des dispositions relatives à la FDSS et des obligations d'autorisation applicables aux FISP, qui entreront en vigueur 18 mois après l’adoption du règlement.

Impact potentiel sur le secteur des services financiers

La mise en œuvre du FIDA, qui vise à promouvoir la finance ouverte, aura sans aucun doute un impact sur le secteur des services financiers. Il donnera à de nombreuses entreprises la possibilité d'offrir des services financiers plus personnalisés et adaptés aux besoins des clients.

Voici quelques-unes des incidences que la mise en œuvre du cadre FIDA pourrait avoir sur le secteur des services financiers :

• Augmentation de la gamme de produits et services financiers
  Les données financières partagées dans le cadre du FIDA permettront aux développeurs tiers, aux start-up fintech et à d'autres acteurs de créer de nouveaux produits et services financiers, d'investissement et d'assurance. Cela pourrait conduire à une augmentation de l'offre de produits innovants et à une amélioration de la qualité des services fournis aux clients.

• Des services plus personnalisés
  L'accès aux données financières pourrait également rendre les services plus centrés sur l'utilisateur et plus personnalisés, ce qui augmenterait la satisfaction des clients.

• Accentuation de la concurrence
  L'accès aux données financières facilité par le FIDA permettra aux nouveaux venus (c'est-à-dire aux tiers) de concurrencer les établissements financiers traditionnels, ce qui pourrait entraîner une baisse des coûts des produits offerts aux clients. L'objectif est de promouvoir une concurrence loyale et impartiale.

• Préoccupations en matière de protection des données
  Le partage ouvert des données financières introduit par le cadre du FIDA soulève d'importantes préoccupations en matière de sécurité et de confidentialité. Les opérateurs devront mettre en œuvre des mesures de sécurité informatique efficaces et se conformer aux réglementations en vigueur en matière de protection des données afin de prévenir les violations de données et de conserver la confiance des clients.